Die 20-Personen-Regel
§ 38 Abs. 1 Satz 1 Bundesdatenschutzgesetz (BDSG) bestimmt: Verantwortliche und Auftragsverarbeiter benennen einen Datenschutzbeauftragten,
„soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“
Drei Merkmale entscheiden:
- „In der Regel“: Es zählt der übliche Betrieb, nicht eine kurzfristige Spitze.
- „Ständig“: Gemeint sind Personen, die diese Tätigkeit regelmäßig und nicht nur gelegentlich ausüben.
- „Automatisierte Verarbeitung“: Wer am Computer arbeitet und dabei personenbezogene Daten nutzt, etwa in E-Mail, Kundenverwaltung oder Buchhaltung, wird mitgezählt. In den meisten Büros sind das fast alle Beschäftigten.
Wer zählt mit?
Nach dem Praxisratgeber des Landesbeauftragten für den Datenschutz Baden-Württemberg kommt es allein auf die Zahl der mit der automatisierten Verarbeitung Beschäftigten an, unabhängig vom arbeitsrechtlichen Status. Hinzuzurechnen sind demnach beispielsweise Voll- und Teilzeitkräfte, Leiharbeitnehmer, Auszubildende, Volontäre und Praktikanten sowie Beschäftigte in Telearbeit. Ein Betrieb mit 12 Vollzeitkräften und 10 Aushilfen, die ebenfalls am PC arbeiten, überschreitet die Grenze also schon.
Pflicht unabhängig von der Mitarbeiterzahl
Auch kleine Unternehmen müssen einen Datenschutzbeauftragten benennen, wenn einer dieser Fälle vorliegt:
- Datenschutz-Folgenabschätzung: Das Unternehmen nimmt Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen (§ 38 Abs. 1 Satz 2 BDSG).
- Geschäftsmäßige Übermittlung: Das Unternehmen verarbeitet personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- und Meinungsforschung (§ 38 Abs. 1 Satz 2 BDSG).
- Umfangreiche Überwachung: Die Kerntätigkeit besteht in Verarbeitungen, die eine umfangreiche regelmäßige und systematische Überwachung von Personen erforderlich machen (Art. 37 Abs. 1 Buchstabe b DSGVO).
- Besondere Datenkategorien: Die Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten nach Art. 9 oder von Daten über Straftaten nach Art. 10 (Art. 37 Abs. 1 Buchstabe c DSGVO).
- Behörden und öffentliche Stellen benennen auf jeden Fall (Art. 37 Abs. 1 Buchstabe a).
Prüfschema für Ihr Unternehmen
| Frage | Wenn Ja |
|---|---|
| Beschäftigen wir in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten? | Datenschutzbeauftragter ist Pflicht |
| Führen wir Verarbeitungen durch, die eine Datenschutz-Folgenabschätzung erfordern (zum Beispiel biometrische Zeiterfassung)? | Datenschutzbeauftragter ist Pflicht |
| Verarbeiten wir Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung? | Datenschutzbeauftragter ist Pflicht |
| Besteht unsere Kerntätigkeit in umfangreicher Überwachung von Personen oder in umfangreicher Verarbeitung besonderer Datenkategorien (etwa Arztpraxis, Klinik, Pflegedienst in größerem Umfang)? | Datenschutzbeauftragter ist Pflicht |
| Keine der Fragen trifft zu | Keine Pflicht, freiwillige Benennung möglich |
Was nach der Benennung gilt
- Der Datenschutzbeauftragte wird nach seiner beruflichen Qualifikation und seinem Fachwissen benannt (Art. 37 Abs. 5). Er kann Beschäftigter oder externer Dienstleister sein (Abs. 6).
- Sie veröffentlichen seine Kontaktdaten, zum Beispiel in der Datenschutzerklärung, und teilen sie der Aufsichtsbehörde mit (Abs. 7).
- Besteht die Pflicht zur Benennung, gilt für ihn besonderer Kündigungsschutz (§ 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG).
Seine Aufgaben beschreibt der Beitrag Aufgaben des Datenschutzbeauftragten.
Folgen bei Verstoß
Wer trotz Pflicht keinen Datenschutzbeauftragten benennt, handelt rechtswidrig. Die Aufsichtsbehörden können dies beanstanden und mit einem Bußgeld ahnden. Zusätzlich fehlt Ihnen die fachliche Unterstützung, die bei Datenpannen, Auskunftsersuchen und Kontrollen entscheidend ist.
Unterstützung durch einen externen Datenschutzbeauftragten
Für die meisten kleinen und mittleren Unternehmen ist ein externer Datenschutzbeauftragter die praktikabelste Lösung: Er bringt das Fachwissen mit, vermeidet Interessenkonflikte und ist bei Urlaub oder Krankheit vertreten. Die Kosten finden Sie unter Preise.
